기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

EKS Auto Mode - 보안

Amazon EKS Auto Mode는 작업자 노드와 코어 클러스터 구성 요소를 포함하도록 AWS의 보안 관리를 컨트롤 플레인 이상으로 확장하여 향상된 보안 기능을 도입합니다. 이 포괄적인 보안 모델은 조직이 강력한 보안 태세를 유지하면서 운영 오버헤드를 줄이는 데 도움이 됩니다.

공동 책임 모델 - EKS Auto Mode

EKS Auto Mode의 주요 보안 개선 사항은 다음과 같습니다.

EKS Auto Mode는 기본적으로 이러한 보안 제어를 적용하므로 조직이 보안 및 규정 준수 요구 사항을 충족하는 동시에 클러스터 작업을 간소화할 수 있습니다. 이 접근 방식은 defense-in-depth 원칙에 부합하여 인프라, 노드 및 워크로드 수준에서 여러 계층의 보안 제어를 제공합니다.

보안 아키텍처

EKS Auto Mode는 컨트롤 플레인에서 개별 노드에 이르기까지 EKS 인프라의 여러 계층에 걸쳐 보안 제어를 구현합니다. 이 아키텍처를 이해하는 것은 EKS 클러스터를 효과적으로 관리하고 보호하는 데 매우 중요합니다.

컨트롤 플레인 보안

EKS Auto Mode의 EKS 컨트롤 플레인은 새로운 보안 기능을 추가하면서 기존 EKS 클러스터와 동일한 높은 보안 표준을 유지합니다.

IAM 통합 및 액세스 관리

EKS Auto Mode는 EKS 액세스 항목 및 EKS Pod Identity를 통해 AWS Identity and Access Management(IAM)와의 향상된 통합을 제공합니다.

클러스터 액세스 관리

EKS Auto Mode는 클러스터 액세스 관리(CAM) API를 통해 클러스터 액세스 관리를 개선했습니다.

클러스터 액세스를 관리하기 위해 액세스 항목을 생성할 수 있습니다.

aws eks create-access-entry \
    --cluster-name ${EKS_CLUSTER_NAME} \
    --principal-arn arn:aws:iam::${ACCOUNT_ID}:role/${IAM_ROLE_NAME} \
    --type STANDARD

EKS Pod Identity

EKS Auto Mode에는 Pod Identity Agent가 이미 배포되어 있으므로 포드에 AWS IAM 권한을 부여하는 간소화된 방법이 가능합니다.

aws eks create-pod-identity-association \
  --cluster-name ${EKS_CLUSTER_NAME} \
  --role-arn arn:aws:iam::${AWS_ACCOUNT_ID}:role/${IAM_ROLE_NAME} \
  --namespace ${NAMESPACE} \
  --service-account ${SERVICE_ACCOUNT_NAME}

노드 IAM 역할

EKS Auto Mode는 EKS Auto Mode 노드가 작동하는 데 필요한 권한만 AmazonEKSWorkerNodeMinimalPolicy 제공하는 새를 사용합니다. 이러한 권한은 다음과 같습니다.

이 최소 정책 접근 방식은 노드와 해당 워크로드에 사용할 수 있는 권한을 제한하여 보안 태세를 개선하는 데 도움이 됩니다.

노드 보안

EKS Auto Mode는 노드 수준에서 몇 가지 중요한 보안 개선을 도입합니다.

EC2 관리형 인스턴스 보안

EKS Auto Mode 노드는 향상된 보안 속성과 함께 Amazon EC2 관리형 인스턴스를 사용합니다.

운영 체제 보안

운영 체제는 EKS Auto Mode에 최적화된 Bottlerocket의 사용자 지정 변형으로, 다음을 포함합니다.

노드 구성 요소 보안

노드 구성 요소는 보안 모범 사례로 구성됩니다.

네트워크 보안

EKS Auto Mode는 클러스터 내부 및 외부 리소스와의 보안 통신을 보장하기 위해 여러 네트워크 보안 기능을 구현합니다.

VPC CNI 네트워크 정책

EKS Auto Mode는 Amazon VPC CNI 플러그인의 기본 Kubernetes 네트워크 정책 지원을 활용합니다.

EKS Auto Mode에서 네트워크 정책 지원을 활성화하려면 configMap 매니페스트를 사용하여 VPC CNI 추가 기능을 구성해야 합니다. 다음 예를 참고하세요

apiVersion: v1
kind: ConfigMap
metadata:
  name: amazon-vpc-cni
  namespace: kube-system
data:
  enable-network-policy: "true"

또한 다음과 같이 노드 클래스에서 네트워크 정책 지원이 구성되어 있음을 정의해야 합니다.

apiVersion: eks.amazonaws.com/v1
kind: NodeClass
metadata:
  name: example-node-class
spec:
  networkPolicy: DefaultAllow
  networkPolicyEventLogs: Enabled

활성화되면 트래픽을 제어하는 네트워크 정책을 생성할 수 있습니다.

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  - Egress

향상된 ENI 관리

EKS Auto Mode는 탄력적 네트워크 인터페이스(ENI) 관리를 위한 향상된 보안을 제공합니다.

스토리지 보안

EKS Auto Mode는 임시 스토리지와 영구 스토리지 모두에 향상된 보안 기능을 제공합니다.

임시 스토리지

EBS 볼륨

EFS 통합

모니터링 및 로깅

EKS Auto Mode는 클러스터의 보안 태세 및 운영 상태에 대한 가시성을 유지하는 데 도움이 되는 향상된 모니터링 및 로깅 기능을 제공합니다.

제어 플레인 로깅

EKS Auto Mode는 표준 EKS와 동일한 컨트롤 플레인 로깅 기능을 유지하지만 향상된 모니터링을 위해 기본적으로 모든 로그를 활성화합니다.

노드 수준 로깅

EKS Auto Mode는 노드 수준 로깅을 개선합니다.

Amazon GuardDuty 통합

EKS Auto Mode 클러스터는 향상된 위협 탐지를 위해 Amazon GuardDuty와 원활하게 통합됩니다. 기능은 다음과 같습니다.

Amazon GuardDuty for Kubernetes 감사 로그에서 EKS Auto Mode 보호를 활성화하려면 다음 명령을 실행할 수 있습니다.

aws guardduty update-detector \
    --detector-id 12abc34d567e8fa901bc2d34e56789f0 \
    --data-sources '{"Kubernetes":{"AuditLogs":{"Enable":true}}}'

런타임 보안을 위한 Amazon GuardDuty 통합

Amazon GuardDuty는 EKS Auto Mode 클러스터에 대한 필수 런타임 보안 모니터링을 제공하여 포괄적인 위협 탐지 및 보안 모니터링 기능을 제공합니다. 이 통합은 잠재적 보안 위협과 악의적인 활동을 실시간으로 식별하는 데 도움이 되므로 특히 중요합니다.

EKS Auto Mode의 주요 GuardDuty 기능

Amazon GuardDuty for Kubernetes 감사 로그 및 런타임 모니터링에서 EKS Auto Mode 보호를 활성화하려면 다음 명령을 실행할 수 있습니다.

aws guardduty update-detector \
    --detector-id 12abc34d567e8fa901bc2d34e56789f0 \
    --data-sources '{
        "Kubernetes": {
            "AuditLogs": {"Enable": true},
            "RuntimeMonitoring": {"Enable": true}
        }
    }'

GuardDuty 결과 통합

GuardDuty 조사 결과는 자동 응답을 위해 다른 AWS 서비스와 통합할 수 있습니다.

{
  "source": ["aws.guardduty"],
  "detail-type": ["GuardDuty Finding"],
  "detail": {
    "type": ["Runtime:Container/*", "Runtime:Kubernetes/*"],
    "severity": [4, 5, 6, 7, 8]
  }
}

# Enable Security Hub integration
aws securityhub enable-security-hub \
    --enable-default-standards \
    --tags '{"Environment":"Production"}' \
    --region us-west-2

EKS Auto Mode를 사용하는 GuardDuty 모범 사례

자주 묻는 질문(FAQ)

Q: 보안 측면에서 EKS Auto Mode는 표준 EKS와 어떻게 다릅니까? A: EKS Auto Mode는 EC2 관리형 인스턴스, 자동 패치 적용, 필수 노드 교체 및 내장 보안 제어를 통해 향상된 보안을 제공합니다. AWS가 더 많은 보안 측면을 관리하도록 하여 강력한 보안 태세를 유지하면서 운영 오버헤드를 줄입니다.

Q: EKS Auto Mode에서 기존 보안 도구 및 정책을 계속 사용할 수 있나요? A: 예, EKS Auto Mode는 대부분의 기존 보안 도구 및 정책과 호환됩니다. 그러나 일부 노드 수준 보안 도구는 EKS Auto Mode 노드의 관리형 특성으로 인해 적응이 필요할 수 있습니다.

Q: EKS Auto Mode에서 보안 에이전트 및 모니터링 도구를 배포하려면 어떻게 해야 하나요? A: EKS Auto Mode에서는 보안 에이전트 및 모니터링 도구를 노드 OS에 직접 설치하지 않고 Kubernetes 워크로드(일반적으로 모든 노드에 기본적으로 포드의 인스턴스 하나를 배포하는 DaemonSets)로 배포해야 합니다. 이 접근 방식은 EKS Auto Mode의 변경 불가능한 인프라 모델과 일치합니다. 예제:

apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: security-agent
  namespace: security
spec:
  selector:
    matchLabels:
      app: security-agent
  template:
    metadata:
      labels:
        app: security-agent
    spec:
      containers:
      - name: security-agent
        image: security-vendor/agent:latest
        securityContext:
          privileged: false
          # Use specific capabilities instead of privileged mode
          capabilities:
            add: ["NET_ADMIN", "SYS_ADMIN"]

Q: 타사 보안 솔루션이 EKS Auto Mode와 호환되나요? A: 널리 사용되는 여러 타사 보안 솔루션이 EKS Auto Mode를 지원하도록 업데이트되었지만 EKS Auto Mode를 지원하려면 업데이트된 버전 또는 특정 배포 구성이 필요할 수 있으므로 항상 보안 공급업체에 특정 버전 및 배포 요구 사항을 확인하는 것이 좋습니다.

Q: EKS Auto Mode에서 보안 에이전트의 제한 사항은 무엇입니까? A: 주요 제한 사항은 다음과 같습니다.

Q: EKS Auto Mode에서 사용자 지정 AMIs 사용할 수 있나요? A: 현재 EKS Auto Mode는 사용자 지정 AMIs 지원하지 않습니다. 이는 AWS가 공동 책임 모델의 일부로 노드의 보안, 패치 적용 및 유지 관리를 관리하므로 설계된 것입니다. EKS Auto Mode 노드는 AWS에서 최적화하고 유지 관리하는 Bottlerocket의 특수 변형을 사용합니다.

Q: EKS Auto Mode에서 노드는 얼마나 자주 자동으로 교체되나요? A: EKS Auto Mode의 노드 수명은 최대 21일입니다. 이 제한 전에 자동으로 교체되므로 정기적인 보안 업데이트 및 패치 애플리케이션이 보장됩니다.

Q: 문제 해결을 위해 EKS Auto Mode 노드로 SSH할 수 있습니까? A: 아니요, EKS Auto Mode에서는 직접 SSH 액세스를 사용할 수 없습니다. 대신 NodeDiagnostic Custom Resource Definition(CRD)을 사용하여 시스템 로그를 수집하고 정보를 디버깅할 수 있습니다.

Q: EKS Auto Mode에서 네트워크 정책 지원이 기본적으로 활성화되어 있나요? A: 지금은 VPC CNI 추가 기능 구성을 통해 네트워크 정책 지원을 명시적으로 활성화해야 합니다. 활성화되면 표준 Kubernetes 네트워크 정책을 사용할 수 있습니다.

Q: EKS Auto Mode에서 IRSA 또는 Pod Identity를 사용해야 합니까? A: 둘 다 지원되지만 포드 ID는 이미 포드 ID 보안 에이전트 추가 기능을 포함하고 향상된 보안 기능과 간소화된 관리를 제공하므로 EKS Auto Mode에서 권장되는 접근 방식입니다.

Q: EKS Auto Mode에서 aws-auth ConfigMap을 계속 사용할 수 있나요? A: aws-auth ConfigMap은 더 이상 사용되지 않는 기능입니다. 보안을 강화하고 액세스 관리를 간소화하려면 API 기반 인증의 기본 접근 방식을 사용하는 것이 좋습니다.

Q: EKS Auto Mode에서 보안 이벤트를 모니터링하려면 어떻게 해야 하나요? A: EKS Auto Mode는 GuardDuty, CloudWatch 및 CloudTrail을 포함한 여러 모니터링 솔루션과 통합됩니다. GuardDuty는 특히 EKS 워크로드를 위한 향상된 런타임 보안 모니터링을 제공합니다.

Q: EKS Auto Mode 노드에서 로그를 수집하려면 어떻게 해야 합니까? A: 로그를 S3 버킷에 자동으로 업로드하는 NodeDiagnostic CRD를 사용합니다. CloudWatch Container Insights 및 AWS Distro for OpenTelemetry를 사용할 수도 있습니다.